L'ISO/IEC 27701 était, jusqu'à cette année, un complément : un document qui disait à une organisation dotée d'un système ISO 27001 quelles exigences et mesures supplémentaires en faisaient aussi un système de management de la protection de la vie privée. La deuxième édition, ISO/IEC 27701:2025, publiée en octobre 2025, annule et remplace l'édition 2019 et est réécrite comme une norme de système de management autonome : ses propres articles 4 à 10, sa propre annexe A, son propre certificat selon l'ISO/IEC 27706:2025. Cet article lit la nouvelle édition ligne par ligne pour une entreprise de logiciels, avec le catalogue que StandardOS en tient comme données : 103 exigences, chacune avec l'article ou la mesure ISO 27001 auquel elle correspond, l'écart que 27701 demande au-delà, et les articles du RGPD que son enregistrement prouve.

Ce qui a changé : une norme, une annexe A, deux rôles

L'édition 2019 étendait l'ISO 27001 par renvoi, si bien qu'un PIMS ne pouvait pas exister sans SMSI. L'édition 2025 applique la structure harmonisée qu'ISO utilise pour toutes ses normes de systèmes de management : article 4 contexte, 5 leadership, 6 planification, 7 support, 8 réalisation, 9 évaluation des performances, 10 amélioration, la même numérotation que l'ISO 27001:2022, avec une politique de protection de la vie privée, des objectifs de protection de la vie privée et une appréciation des risques qui lit les risques pour les personnes dont les données sont traitées, pas seulement les risques pour l'organisation. L'article 6.1.3 sélectionne les mesures de l'annexe A par le traitement des risques et rédige une déclaration d'applicabilité, exactement comme 27001 le fait avec sa propre annexe A.

L'annexe A est désormais une seule annexe en trois tableaux. Le tableau A.1 porte 31 mesures pour les responsables du traitement de DCP, en quatre groupes : conditions de collecte et de traitement, obligations envers les personnes concernées, protection de la vie privée dès la conception et par défaut, et partage, transfert et divulgation de DCP. Le tableau A.2 porte 18 mesures pour les sous-traitants de DCP dans les quatre mêmes groupes. Le tableau A.3 porte 29 mesures de sécurité de l'information que les deux rôles mettent en œuvre, chacune une mesure 27001 lue pour les données à caractère personnel. L'annexe B donne des recommandations de mise en œuvre sous la même numérotation, et l'annexe F fait correspondre chaque mesure de 2025 à son équivalent de 2019 et inversement. Pour une entreprise de logiciels, les deux rôles sont présents : elle est responsable du traitement de ses propres données clients et salariés et sous-traitant des données que ses clients mettent dans le produit, donc A.1, A.2 et A.3 s'appliquent tous, et la détermination RGPD dit quelles obligations s'appliquent pour chacun.

Les 70 lignes qu'un système 27001 couvre déjà à moitié

Soixante-dix des 103 exigences correspondent à quelque chose qu'un système ISO 27001 en fonctionnement possède déjà, et aucune n'est couverte entièrement par lui. Les 25 articles correspondent à leurs jumeaux 27001 : le même contexte, le même leadership, la même planification, le même support, la même réalisation, la même évaluation et la même amélioration, avec un écart par article. La politique de protection de la vie privée de 5.2 se place à côté de la politique de sécurité de l'information et s'engage envers les personnes concernées ; l'appréciation des risques de 6.1.2 apprécie les risques pour les personnes concernées, ce qui est le raisonnement dont une analyse d'impact relative à la protection des données a besoin ; les informations documentées de 7.5 ajoutent le registre des traitements, les consentements, les analyses et les demandes à ce que 27001 maîtrise ; la revue de direction de 9.3 prend les retours des personnes concernées et des régulateurs comme éléments d'entrée.

Les 29 mesures de sécurité du tableau A.3 correspondent une à une à des mesures de l'annexe A de la 27001:2022, et l'écart est chaque fois de même nature : la mesure 27001 n'est pas écrite pour les données à caractère personnel, et 27701 demande qu'elle le soit. La classification (A.3.5) nomme les DCP et leurs catégories particulières là où 27001 classe par confidentialité ; la journalisation (A.3.25) enregistre qui a accédé à quelles données à caractère personnel et quand, pour qu'une violation puisse être reconstituée et une demande satisfaite ; les sauvegardes (A.3.24) sont soumises à la conservation et à l'effacement, pour qu'une restauration ne rétablisse pas des données supprimées ; la gestion des incidents (A.3.11 et A.3.12) planifie et exécute les notifications de violation avec leurs délais légaux ; le cycle de développement sécurisé (A.3.27) inclut la protection de la vie privée dès la conception et par défaut ; les informations de test (A.3.31) excluent les données à caractère personnel comme données de test sauf désidentification. Les 16 correspondances restantes se trouvent dans les tableaux A.1 et A.2, où une mesure de protection de la vie privée étend une mesure de sécurité : les contrats avec les sous-traitants et l'accord client étendent les accords fournisseurs de A.5.20, les registres des traitements étendent la protection des enregistrements de A.5.33, la conservation, l'élimination et les fichiers temporaires étendent la suppression d'informations de A.8.10, les mesures sur les sous-traitants ultérieurs étendent la sécurité des fournisseurs de A.5.19.

Les 33 lignes qu'aucune mesure de sécurité ne produit

Trente-trois mesures n'ont aucun équivalent 27001, 24 pour les responsables et 9 pour les sous-traitants, et elles sont la substance de la protection de la vie privée : identifier et documenter la finalité (A.1.2.2) et la base juridique (A.1.2.3) ; déterminer, obtenir et enregistrer le consentement (A.1.2.4 et A.1.2.5) ; l'analyse d'impact sur la vie privée (A.1.2.6) ; l'accord de responsabilité conjointe (A.1.2.8) ; les dix mesures de A.1.3 sur les obligations envers les personnes concernées, des informations à fournir à l'accès, la rectification, l'effacement, la portabilité, l'opposition et la décision automatisée ; limiter la collecte et le traitement, l'exactitude, la minimisation et la désidentification (A.1.4.2 à A.1.4.6) ; la base et les pays des transferts et les enregistrements des transferts (A.1.5.2 à A.1.5.4). Côté sous-traitant : traiter uniquement pour les finalités du client et jamais pour le marketing (A.2.2.3 et A.2.2.4), signaler une instruction illicite (A.2.2.5), les obligations du client et celles des personnes concernées (A.2.2.6 et A.2.3.2), la base et les pays de transfert (A.2.5.2 et A.2.5.3), et le traitement des demandes de divulgation (A.2.5.5 et A.2.5.6). Une entreprise qui part de son système ISO 27001 construit celles-ci à partir de rien, et le registre des traitements est la première : toute autre mesure de protection de la vie privée y renvoie.

Les articles du RGPD que les mesures prouvent

L'ISO/IEC 27701 se met en correspondance avec le RGPD dans sa propre annexe, et le catalogue lit la correspondance depuis l'autre côté : pour chaque mesure, quel article du règlement (UE) 2016/679 son enregistrement prouve. Trente-deux articles apparaissent. Quatorze lignes prouvent le registre des traitements de l'article 30 ; dix-huit prouvent les obligations du sous-traitant de l'article 28, de l'accord client au changement de sous-traitant ultérieur ; vingt-trois prouvent la sécurité du traitement de l'article 32 ; six prouvent la notification de violation de l'article 33 ; quatre prouvent l'analyse d'impact de l'article 35. Rien de cela n'est une présomption de conformité : le règlement ne nomme aucune norme, un certificat prouve que le processus existe, et l'autorité de contrôle lit le processus au regard du texte. Ce que la correspondance donne à une entreprise de logiciels, c'est la piste d'audit dans l'autre sens : quand le questionnaire d'un client ou une autorité demande comment l'article 30 ou l'article 33 est respecté, la réponse est une mesure avec un enregistrement derrière.

Quoi en faire

L'ordre qui fonctionne est celui du catalogue. D'abord les 70 lignes qui étendent le système 27001, parce que la preuve existe déjà et que l'écart est un paragraphe par ligne : nommer les données à caractère personnel dans la classification, ajouter la règle de conservation à la politique de sauvegarde, ajouter les étapes de notification à la procédure d'incident. Ensuite les 33 lignes purement vie privée, en commençant par le registre des traitements, la base juridique par finalité et l'analyse d'impact pour les fonctionnalités qui en ont besoin ; les clauses de sous-traitance et le délai de violation sont les deux que les clients demandent en premier. Un certificat selon l'édition 2025 est alors la vérification par un tiers d'un système qui répond déjà au règlement, et c'est aussi l'ordre dans lequel un acheteur soumis à DORA, à NIS2 ou au RGPD le lit.